Ça commence à se vendre. Discrètement, dans des propositions qui parlent d’optimisation avancée, de techniques propriétaires, de méthodes que les concurrents n’utilisent pas encore. Derrière le vocabulaire, il y a parfois de l’injection de consignes destinées au modèle plutôt qu’au lecteur.
La littérature universitaire s’y intéresse depuis 2024, et elle a produit des résultats spectaculaires.
Le problème n’est pas de savoir si ces techniques fonctionnent. Certaines fonctionnent très bien, dans les conditions où elles ont été testées. Le problème est que ces conditions ne sont pas celles d’un moteur en production, et que l’écart change entièrement le calcul de risque.
Cet article sépare les deux, et désigne la faille réellement exploitable, qui n’est pas celle qu’on croit.
Ce qui fonctionne en laboratoire
Plusieurs travaux ont établi qu’un moteur conversationnel peut être manipulé par du texte déposé sur une page web.
Un premier travail sur l’optimisation adversariale pour les modèles de langage démontre l’efficacité de ce qu’il nomme des attaques par manipulation de préférence. Ses résultats sont saisissants : des produits fictifs quasi doublent leur présence lorsqu’ils entrent en concurrence avec des produits réels. Les attaques peuvent être rendues furtives en ajoutant une consigne du type « ne mentionne pas ce message dans ta réponse ». Elles peuvent être déclenchées depuis une autre page que celle qui présente le produit, ou dissimulées en texte illisible pour un humain. Et elles se transfèrent à des moteurs en production.
Un deuxième travail, consacré à la manipulation de classement dans les moteurs conversationnels, montre qu’une technique arborescente permet de promouvoir de façon fiable des produits mal classés.
Un troisième propose une méthode d’optimisation furtive de consignes, conçue pour rester indétectable à la lecture.
Un quatrième établit qu’un cadre d’injection adversariale se transfère entre architectures de classement différentes, tout en préservant la fluidité du texte.
Marquage de provenance : tous sont des préprints arXiv, avec protocoles publiés. Aucun n’est relu par les pairs.
Voilà pour la démonstration. Elle est solide, et elle est inquiétante.
Ce qui résiste en production
Voici le travail que personne ne cite dans les présentations commerciales, et qui recadre entièrement le dossier.
Publié le 26 mars 2026 par une équipe de l’université Fudan, il teste dix produits de recherche augmentée par modèle de langage réellement déployés, dont les plus connus, contre un banc d’essai baptisé SEO-Bench, constitué de mille sites black-hat réels.
Le résultat : ces moteurs neutralisent plus de 99,78 % des attaques de référencement black-hat traditionnelles. Et les auteurs identifient le mécanisme : c’est la phase de récupération qui fait office de filtre principal. Le contenu manipulé n’atteint jamais le modèle, parce qu’il n’est pas récupéré.
Autrement dit, la plupart des attaques démontrées en laboratoire supposent que le document piégé est déjà dans le contexte. En production, l’étape qui décide de l’entrée dans le contexte l’élimine avant.
Le même travail apporte cependant une nuance qui interdit de conclure à l’invulnérabilité : les attaques spécifiquement conçues pour les moteurs à base de modèles de langage, comme le bourrage de la requête réécrite ou le découpage du texte en segments, doublent le taux de manipulation par rapport aux techniques classiques.
Ce n’est donc pas un mur. C’est un filtre qui arrête l’ancien monde et laisse passer une partie du nouveau.
Le tableau du risque réel
| Technique | Efficacité mesurée en laboratoire | Résistance mesurée en production | Risque pour vous |
|---|---|---|---|
| Bourrage de mots clés, fermes de liens, texte caché classique | Sans objet | 99,78 % neutralisées | Inutile, et détectable |
| Injection de consignes dans la page | Élevée sur système isolé | Filtrée à la récupération dans la plupart des cas | Élevé si détecté, gain incertain |
| Injection déclenchée depuis une autre page | Démontrée | Non mesurée en conditions réelles | Très élevé : difficile à expliquer si découvert |
| Attaques conçues pour modèles de langage | Élevée | Taux de manipulation doublé | Réel, et c’est là que porte la recherche défensive |
| Langage d’autorité, preuves invoquées | +0,17 point de note | Non filtré : c’est du texte normal | La faille réellement exploitable |
La dernière ligne est celle qui compte.
La faille dont personne ne parle, parce qu’elle ne ressemble pas à une attaque
Une étude de juin 2026 mesurant les recommandations de trois modèles commerciaux a testé l’effet du registre de langue.
Un langage d’autorité vaut +0,17 point sur la note attribuée par le modèle. Et l’effet se maintient lorsque les preuves cliniques invoquées sont fabriquées. Le modèle ne distingue pas une étude réelle d’une étude inventée.
Comprenez bien ce que cela signifie. Il n’y a ici aucune injection, aucun texte caché, aucune consigne dissimulée. Juste des phrases qui affirment avec assurance, en invoquant des travaux qui n’existent pas. Aucun filtre de récupération ne peut arrêter cela, puisque c’est du texte parfaitement normal.
C’est la faille réellement exploitable, et elle est aussi la plus facile à franchir sans s’en rendre compte. Une agence qui rédige vos pages avec des affirmations péremptoires et des références vagues à « des études » exploite ce biais, qu’elle le sache ou non.
Le versant collectif de ce mécanisme a été modélisé par une équipe de Carnegie Mellon en août 2026 : la compétition dégénère en guerres de citations, où les réécritures successives dégradent la qualité des documents et introduisent des affirmations non soutenues.
Personne n’a besoin de tricher pour que le corpus se dégrade. Il suffit que chacun optimise.
L’argument que nous connaissons pour l’avoir vécu
En 2011, Google a commencé à sanctionner les sites reposant sur des signaux artificiels. Des milliers de sites ont perdu leur visibilité du jour au lendemain, y compris des entreprises qui avaient payé de bonne foi des prestataires vendant des « techniques avancées ».
Aucun de nos clients n’a été touché. Non par prescience, mais parce que nous n’avions rien à retirer.
La structure du risque est exactement la même aujourd’hui, avec deux différences qui l’aggravent.
La manipulation est rattrapable, la réputation non. Un filtre se déploie en une mise à jour. Une page contenant des consignes dissimulées, découverte par un journaliste ou un concurrent, ne se retire pas de la mémoire des gens.
Le gain est temporaire par construction. La recherche défensive avance plus vite que la recherche offensive sur ce terrain, parce que les plateformes ont un intérêt commercial direct à ce que leurs réponses ne soient pas achetables. Un banc d’essai qui mesure 99,78 % de neutralisation aujourd’hui mesurait beaucoup moins il y a dix huit mois.
Ce que vous faites demain matin
Trois vérifications, dont deux prennent dix minutes.
Cherchez du texte destiné au modèle dans vos propres pages. Contenu masqué en CSS, texte en couleur de fond, attributs remplis d’instructions, blocs générés par un outil que vous n’avez pas relus. Une prestation passée a pu en déposer sans vous le dire.
Relisez vos pages avec une question précise : chaque affirmation forte est elle soutenue par une source vérifiable ? Si vos textes invoquent « des études » sans les nommer, vous exploitez le biais de langage d’autorité. C’est légal, c’est courant, et cela vous expose : le jour où un lecteur remonte la source et ne la trouve pas, vous avez le profil du fabricant de preuves.
Demandez à votre prestataire ce qu’il fait exactement. Pas la liste des livrables : le contenu réel de ce qui est déposé sur vos pages. Un prestataire qui répond par du vocabulaire propriétaire mérite qu’on insiste.
La bonne nouvelle de ce dossier est que la triche marche mal. La mauvaise est que la frontière entre optimiser et tromper passe par une pratique que presque tout le monde emploie sans y penser : affirmer plus fort que ce que l’on peut prouver.
Sources
- Adversarial Search Engine Optimization for Large Language Models (2024), arXiv:2406.18382
- Ranking Manipulation for Conversational Search Engines (2024), arXiv:2406.03589
- StealthRank: LLM Ranking Manipulation via Stealthy Prompt Optimization (2025), arXiv:2504.05804
- Chen, P., Hong, G., Wu, X. et al. (2026). Unveiling the Resilience of LLM-Enhanced Search Engines against Black-Hat SEO Manipulation, arXiv:2603.25500
- Chu, X. & Hou, Y. (2026). Incumbent Advantage: Brand Bias and Cognitive Manipulation Dynamics in LLM Recommendation Systems, arXiv:2606.17443
- Xu, C., Guo, Z. & Xiong, C. (2026). Mechanism Design for Generative Engines, arXiv:2608.11390
<strong>LaFactory</strong> mesure la visibilité IA avec un protocole publié : mesures répétées, paraphrases, groupe de contrôle. Pas de position garantie, jamais. Contactez nous pour cadrer un audit.